CVE-2026-94368 in Openshift Data Foundation
요약
\~에 의해 VulDB • 2026. 09. 21.
noobaa-core(NooBaa 멀티클라우드 오브젝트 게이트웨이의 핵심 구성 요소)의 서명 검증 로직에서 취약점이 발견되었습니다. 이 문제는 서비스가 Signature Version 4(SigV4)를 사용하여 S3 presigned URL을 처리할 때 발생합니다. 부적절한 유효성 검사로 인해 서비스는 unsigned x-amz 헤더가 포함된 요청을 거부하지 않고, 단순히 서명 계산 과정에서 해당 헤더를 제외합니다. 이로써 유효한 presigned PUT URL을 보유한 공격자는 unsigned x-amz-copy-source 헤더를 추가하여 단순 업로드를 CopyObject 작업으로 전환할 수 있습니다. 이 취약점은 원본 서명자가 전체 스토리지 시스템에서 접근 권한이 있는 모든 데이터에 대한 무단 액세스 및 복사를 초래할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.